Kewajiban Pelindungan Data Pribadi Saat Perusahaan Sedang Diakuisisi

Kewajiban Pelindungan Data Pribadi Saat Perusahaan Sedang Diakuisisi

”Perusahaan yang diakuisisi dapat cukup hanya dengan melakukan pemberitahuan sebelum dan sesudah terjadinya akuisisi kepada kustomer atau pengguna layanan sebagai subjek data pribadi”

Berpindahnya data pribadi pelanggan sebagai hasil dari akuisisi perusahaan merupakan sebuah langkah yang memerlukan kehati-hatian dan tanggung jawab yang jelas.

Perusahaan diharapkan mampu bersikap penuh tanggung jawab dengan adanya pelaksanaan suatu pemberitahuan yang jelas kepada subjek data pribadi tentang transfer tersebut dalam hal ini adalah kepada kustomer atau pengguna layanan. 

Terkait dengan dampaknya bagi pelanggan atau kustomer, pelaksanaan transfer data pribadi harus sesuai dengan ketentuan hukum untuk memastikan transparansi dan pemenuhan hak subjek data pribadi. 

Dalam hal ini, wujudnya dapat berupa komunikasi yang efektif dan transparan kepada pelanggan untuk memberikan pemahaman yang menyeluruh bahwa terjadi proses akuisisi yang mengakibatkan data pribadi milik kustomer beralih kepada pihak lain.

Lantas bagaimana penjelasan mengenai pelaksanaan pemberitahuan kepada kustomer dalam hal perusahaan mengalami akuisisi atau pengambilalihan? Simak pembahasan lebih lengkap berikut!

Baca juga: Kebocoran Data: Pelanggaran Atas Pelindungan Data Pribadi

Kewajiban Pemberitahuan Kepada Subjek Data Pribadi 

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) telah menetapkan bahwa perusahaan yang menjalankan aktivitas usaha berupa pemrosesan data pribadi baik itu yang tergolong dalam Prosesor Data Pribadi maupun Pengendali Data Pribadi dalam rangka melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran (Aksi Korporasi) wajib melakukan pemberitahuan sebelum dan sesudah Aksi Korporasi kepada Subjek Data Pribadi (Pasal 48 UU PDP).

Menurut Lita Paromita Siregar, Partner pada BP Lawyers Counselor at Law, bahwa UU PDP tidak menjelaskan secara rinci berapa lama jangka waktu pemberitahuan tersebut. Boleh jadi, ketentuan rentang waktu ini akan dijelaskan dalam peraturan pemerintah yang sedang dibahas saat ini. 

Baca juga: Ketentuan Pelindungan Data Pribadi dalam Bisnis Kesehatan

Pada kondisi kekosongan hukum seperti ini, perusahaan dapat mengikuti ketentuan pengumuman rencana dan penyelesaian akuisisi sebagaimana diatur dalam Undang-Undang Nomor 40 Tahun 2007 tentang Perseroan Terbatas (UU PT).

Namun demikian, perlu dijadikan perhatian oleh perusahaan bahwa berdasarkan ketentuan Pasal 56 UU PDP bahwa apabila akibat dari proses Aksi Korporasi tersebut mengakibatkan adanya transfer Data Pribadi ke luar teritori Indonesia, maka perusahaan wajib untuk memastikan bahwa negara tujuan memiliki standar pelindungan Data Pribadi yang sama atau lebih baik daripada Indonesia. 

Sedangkan apabila negara tujuan tidak memiliki standar tersebut, maka Pengendali Data Pribadi wajib untuk mendapatkan persetujuan dari Pemilik Data Pribadi atas transfer Data Pribadi tersebut.

Baca juga: Awas! Ini Sanksi terhadap Perusahaan yang Tidak Menerapkan Pelindungan Data Pribadi

Pelaksanaan Pemberitahuan Kepada Subjek Data Pribadi Berdasarkan Rancangan Peraturan Pemerintah Tentang Peraturan Pelaksanaan UU PDP (RPP PDP)

Adapun sebagai tambahan informasi, dalam rancangan RPP PDP tertanggal 31 Agustus 2023 yang tersedia pada sumber publik, dapat diketahui terkait dengan substansi pemberitahuan kepada Subjek Data Pribadi perihal adanya proses Aksi Korporasi yang harus disampaikan yaitu:

Baca juga: Kewajiban Keterbukaan Informasi Perusahaan terkait dengan Peraturan Pelindungan Data Pribadi 2024

1. informasi bahwa akan ada pengiriman Data Pribadi dari Pengendali Data Pribadi lama kepada Pengendali Data Pribadi baru;
2. aktivitas pemrosesan yang akan dan telah dilakukan dalam rangka transaksi; 
3. nama perusahaan pihak yang bertanggung jawab, alamat, nomor telepon dan informasi kontak lain yang dimiliki oleh Pengendali Data Pribadi baru; 
4. metode dan prosedur penyampaian keberatan dan/atau permohonan penghentian pemrosesan, atau penolakan Subjek Data Pribadi terhadap pengiriman Data Pribadi ke Pengendali Data Pribadi baru; 
5. informasi waktu kapan pemrosesan untuk keperluan kegiatan Pengendali Data Pribadi baru akan mulai berlangsung; 
6. informasi bahwa Data Pribadi Subjek Data Pribadi dapat diakses oleh Pengendali Data Pribadi baru dan/atau pihak lain terkait yang terlibat dalam proses ini; dan
7. pernyataan bahwa Pengendali Data Pribadi lama akan memusnahkan Data Pribadi yang telah dialihkan kepada Pengendali Data Pribadi baru, pada saat transaksi berakhir.

Perusahaan Anda hendak melakukan proses pemenuhan kewajiban mengenai pelindungan data pribadi di Indonesia?  

BP Lawyers berpengalaman dalam membantu mendampingi perusahaan Anda melakukan transfer data pribadi, silahkan hubungi kami melalui: 082112341235 atau ask@bplawyers.co.id.

Penulis: Lita Paromita Siregar / Arivigo Pranata

Editor: Genies Wisnu Pradana

Artikel ini telah mendapat persetujuan untuk dipublikasikan oleh Partner BP Lawyers Counselors at Law.